Управление средствами обработки информации сторонними лицами и/или организациями

 

Использование сторонних подрядчиков для управления средствами обработки информации является потенциальной угрозой для безопасности, поскольку возникает возможность компрометации, повреждения или потери данных в организации подрядчика. Такие риски должны быть идентифицированы заранее, а соответствующие мероприятия по управлению информационной безопасностью согласованы с подрядчиком и включены в контракт (4.2.2 и 4.3 в отношении руководств по контрактам с третьей стороной, предусматривающих доступ к средствам обработки информации организации и в отношении контрактов по аутсорсингу).

 

В этих условиях требуется решение специальных вопросов:

 

- идентификация важных или критических бизнес-приложений, которые лучше оставить в организации;

 

- получение одобрения владельцев коммерческих бизнес-приложений;

 

- оценка влияния на планы обеспечения непрерывности бизнеса;

 

- определение перечня стандартов безопасности, которые должны быть включены в контракты, и процедур проверки выполнения их требований;

 

- распределение конкретных обязанностей и процедур для эффективного мониторинга всех применяемых видов деятельности, связанных с информационной безопасностью;

 

- определение обязанностей и процедур в отношении информирования и управления процессами ликвидации последствий инцидентов нарушения информационной безопасности (8.1.3).

 

8.2 Планирование нагрузки и приемка систем

 

Цель: сведение к минимуму риска сбоев в работе систем.

 

Для обеспечения доступности данных, требуемой производительности и ресурсов систем необходимо провести предварительное планирование и подготовку.

 

Для снижения риска перегрузки систем необходимо проводить анализ предполагаемой ее нагрузки.

 

Требования к эксплуатации новых систем должны быть определены, документально оформлены и протестированы перед их приемкой и использованием.

 

Планирование производительности

 

Для обеспечения необходимых мощностей по обработке и хранению информации необходим анализ текущих требований к производительности, а также прогноз будущих. Эти прогнозы должны учитывать новые функциональные и системные требования, а также текущие планы и перспективные планы развития информационных технологий в организации.

 

Мэйнфреймы требуют особого внимания вследствие значительных финансовых и временных затрат на повышение их производительности. Руководители, отвечающие за предоставление мэйнфреймовых услуг, должны проводить мониторинг загрузки ключевых системных ресурсов, в том числе процессоров, оперативной и внешней памяти, принтеров и других устройств вывода, а также систем связи. Эти руководители должны определять общие потребности и тенденции в использовании компьютерных ресурсов, что особенно важно для поддержки бизнес-приложений или систем управления для руководства.

 

Руководителям следует использовать эту информацию с целью идентификации/избежания потенциально узких мест, представляющих угрозу безопасности системы или пользовательским сервисам, а также с целью планирования соответствующих мероприятий по обеспечению информационной безопасности.

 

Приемка систем

 

Перед приемкой систем должны быть определены критерии приемки новых информационных систем, новых версий и обновлений, а также должно проводиться необходимое их тестирование. Требования и критерии для принятия новых систем должны быть четко определены, согласованы, документально оформлены и опробованы. В этих целях необходимо предусматривать следующие мероприятия по управлению информационной безопасностью:

 

- оценка выполнения требований к мощности и производительности компьютера;

 

- определение процедур восстановления после сбоев и повторного запуска, а также формирование планов обеспечения непрерывной работы;

 

- подготовка и тестирование типовых операционных процессов на соответствие определенным стандартам;

 

- наличие необходимого набора средств контроля информационной безопасности;

 

- разработка эффективных руководств по процедурам;

 

- обеспечение непрерывности бизнеса в соответствии с требованиями 11.1;

 

- обязательная проверка отсутствия неблагоприятного влияния новых систем на существующие, особенно во время максимальных нагрузок, например, в конце месяца;

 

- контроль проведения анализа влияния, оказываемого новой системой на общую информационную безопасность организации;

 

- организация профессиональной подготовки персонала к эксплуатации и использованию новых систем.

 

Для консультаций на всех этапах разработки новых систем должны привлекаться службы поддержки (эксплуатации) и пользователи с целью обеспечения эффективной эксплуатации проектируемой системы. При этом должны проводиться соответствующие тесты для подтверждения того, что все критерии приемки удовлетворены полностью.

 

8.3 Защита от вредоносного программного обеспечения

 

Цель: обеспечение защиты целостности программного обеспечения и массивов информации.

 

Необходимо принимать меры предотвращения и обнаружения внедрения вредоносного программного обеспечения.

 

Программное обеспечение и средства обработки информации уязвимы к внедрению вредоносного программного обеспечения, такого как компьютерные вирусы, сетевые "черви", "троянские кони" (10.5.4) и логические бомбы. Пользователи должны быть осведомлены об опасности использования неавторизованного или вредоносного программного обеспечения, а соответствующие руководители должны обеспечить внедрение специальных средств контроля с целью обнаружения и/или предотвращения проникновения подобных программ. В частности, важно принятие мер предосторожности с целью обнаружения и предотвращения заражения компьютерными вирусами персональных компьютеров.